详细内容或原文请订阅后点击阅览
Microsoft 详细介绍了 macOS 中未经授权的数据访问漏洞
微软披露了有关 HM Surf 漏洞的详细信息，该漏洞可能允许攻击者访问 Safari 中的用户数据
来源:Malwarebytes Labs 博客Microsoft威胁情报团队披露了有关MACOS漏洞的详细信息，该漏洞被称为“ HM Surf”，这可以使攻击者可以访问Safari中用户的数据。未经用户同意的数据，攻击者可以访问的数据包括浏览页面，以及设备的相机，麦克风和位置。
披露的详细信息The vulnerability, tracked as CVE-2024-44133 was fixed in the September 16 update for Mac Studio (2022 and later), iMac (2019 and later), Mac Pro (2019 and later), Mac Mini (2018 and later), MacBook Air (2020 and later), MacBook Pro (2018 and later), and iMac Pro (2017 and later).
CVE-2024-44133 9月16日更新重要的是要注意，此漏洞只会影响移动设备管理（MDM）托管设备。 MDM托管设备通常受组织IT部门制定的集中管理和安全政策的约束。
微软称之为“ HM冲浪”。通过利用此漏洞，攻击者可以绕过MACOS透明度，同意和控制（TCC）技术，并获得对用户受保护数据的未经授权访问。
用户在浏览需要访问相机或麦克风的网站时会注意到Safari的TCC正在行动。他们可能会看到这样的提示：
Microsoft发现的是，Safari维护了自己的独立TCC策略，该策略维护了各种本地文件中。
当时，微软弄清楚可以通过来回交换当前用户的主目录来修改敏感文件。主目录由TCC保护，但是通过更改主目录，然后更改文件，然后将其再次成为主目录，Safari将使用修改后的文件。
漏洞利用仅在Safari上工作，因为第三方浏览器（例如Google Chrome，Mozilla Firefox或Microsoft Edge）与Apple应用程序没有相同的私人权利。因此，这些应用程序无法绕过MACOS TCC检查。